Bankdaten-Austausch auf Rechnungen: Ein Abwehrleitfaden

KSeF authentifiziert den Aussteller. Es authentifiziert nicht das Bankkonto auf der Rechnung. Eine gültige, von KSeF angenommene Rechnung mit UPO kann trotzdem die Kontonummer eines Betrügers zeigen. Der Staat verifiziert, wer die Rechnung ausgestellt hat. Er verifiziert nicht, wohin das Geld fließen soll.

Diese Lücke wird ausgenutzt. Das dominierende KMU-relevante Betrugsschema in Polen ist der Austausch der Bankdaten des Lieferanten: Ein Betrüger fängt die Kommunikation zwischen Lieferant und Käufer ab, ändert das Bankkonto auf der Rechnung oder in der E-Mail und leitet die Zahlung um. Dokumentierte Verluste: 40.000 EUR in einem einzigen Fall in Płońsk (Oktober 2025) und eine vereitelte Überweisung über 1 Million EUR in Warschau (März 2026).

Das Bedrohungsmodell

1. E-Mail-Abfangen: Der Betrüger verschafft sich Zugriff auf das E-Mail-Konto des Lieferanten oder Käufers und fängt Rechnungs-E-Mails ab. Er ändert das Bankkonto im PDF oder im E-Mail-Text.
2. Gefälschte Lieferanten-E-Mail: Der Betrüger registriert eine Domain, die der des Lieferanten ähnelt, und schickt dem Käufer eine Mitteilung über "neue Bankverbindung".
3. KSeF-Rechnung mit falschem Konto: Seltener, aber möglich: Der Betrüger stellt eine gültige KSeF-Rechnung mit seinem eigenen Bankkonto im Zahlungsfeld aus.
4. QR-Quishing: Der Betrüger ersetzt den KSeF-QR-Code auf einer PDF-Visualisierung durch einen QR-Code, der auf eine Phishing-Seite zeigt.

Abwehrleitfaden

Prüfung 1: Biała lista am Zahlungstag

Die biała lista podatników VAT (Weiße Liste der USt-Pflichtigen) ist ein Register des Finanzministeriums mit den Bankkonten jeder umsatzsteuerlich registrierten NIP. Vor jeder Zahlung über 15.000 PLN prüfen Sie das Bankkonto des Lieferanten gegen die biała lista.

Ist das Konto nicht auf der biała lista:

• Nicht zahlen
• Den Lieferanten über eine bereits bekannte Telefonnummer kontaktieren (nicht die auf der Rechnung)
• Wurde das Konto kürzlich geändert, 7 Tage warten (die ZAW-NR-Karenzfrist), bevor Sie zahlen

Die 15.000-PLN-Schwelle ist gesetzlich: Zahlungen oberhalb dieses Betrags an ein Konto, das nicht auf der biała lista steht, sind nicht als Betriebsausgabe abzugsfähig.

Prüfung 2: Bedenkzeit bei Bankdatenänderung

Wenn ein Lieferant eine Bankkontoänderung meldet, gilt vor der ersten Zahlung an das neue Konto eine Bedenkzeit:

1. Die Änderung verifizieren. Rufen Sie den Lieferanten unter einer Nummer aus Ihren bestehenden Unterlagen an, nicht aus der Benachrichtigungs-E-Mail.
2. 7 Tage warten. Der ZAW-NR-Status auf der biała lista dauert 7 Tage. Nach 7 Tagen sollte das neue Konto auf der Liste stehen.
3. Schriftlich bestätigen. Senden Sie eine Bestätigungs-E-Mail an die bekannte Adresse des Lieferanten und bitten Sie um Bestätigung der Änderung. Akzeptieren Sie keine Bestätigung von der neuen E-Mail-Adresse.

Prüfung 3: Pflichtrückruf bei neuen Empfängern

Bei jeder ersten Zahlung an einen neuen Lieferanten oder der ersten Zahlung an ein geändertes Konto:

1. Den Lieferanten anrufen. Nutzen Sie eine Telefonnummer aus Ihrer Kundendatenbank, nicht aus der Rechnung.
2. Das Bankkonto mündlich verifizieren. Lassen Sie die letzten 4 Stellen der Kontonummer gegenlesen.
3. Die Verifizierung protokollieren. Halten Sie fest, wer wann wie verifiziert hat.

Prüfung 4: Duplikaterkennung

Erhalten Sie zwei Rechnungen mit derselben Nummer, aber unterschiedlichen Bankkonten, behandeln Sie die zweite als betrügerisch. Kontaktieren Sie den Lieferanten direkt. Zahlen Sie keine der beiden Rechnungen, bis das legitime Konto bestätigt ist.

Was KSeF nicht tut

KSeF tut nicht:

• Verifizieren, dass das Bankkonto auf der Rechnung dem Aussteller gehört
• Bankkonten gegen die biała lista abgleichen
• Den Käufer warnen, wenn das Bankkonto auf einer KSeF-Rechnung von früheren Rechnungen abweicht
• Verhindern, dass Betrugsrechnungen innerhalb von KSeF ausgestellt werden (eine der NIP des Opfers zugeordnete Betrugsrechnung ist ein dokumentierter Angriffsweg)

Das sind Produktfunktionen, keine Plattformfunktionen. Der Staat prüft die Form. Das Produkt muss den Inhalt prüfen.

Das Vertrauensnarrativ

"Wir prüfen, was der Staat nicht prüft" ist die Positionierung, die diese Lücke ermöglicht. KSeF-Konformität ist Grundausstattung. Betrugsprävention ist das Unterscheidungsmerkmal. Das KMU-Segment wurde bei Betrugskontrollen bisher vernachlässigt: Kreditorenabteilungen in Konzernen fahren Duplikaterkennung, Bankänderungswarnungen und Neuzahlungsempfänger-Bestätigung. Kleine Unternehmen nicht, weil die Werkzeuge nicht für sie verpackt sind.

Plandesk verpackt den Betrugsabwehr-Stack der Konzerne für KMU: Bankdatenänderungs-Warnungen mit Bedenkzeit, Neuzahlungsempfänger-Bestätigung, unscharfe Duplikaterkennung und biała-lista-Prüfungen am Zahlungstag. Die Prüfungen laufen automatisch. Der Mensch bestätigt.

Dieser Text dient der allgemeinen Information und stellt keine Rechts- oder Steuerberatung dar. Prüfen Sie im Einzelfall die aktuellen Regeln oder wenden Sie sich an einen Steuerberater.